A norma ABNT NBR ISO/IEC 27002 define segurança da informação como a proteção da informação contra os diferentes tipos de ameaças a fim de minimizar o risco ao negócio, garantir sua continuidade e maximizar o retorno sobre os investimentos e as oportunidades de negócio.

Existem três aspectos chave da segurança da informação comumente referidos como CIA Triad, ou Tríade CID: Confidencialidade, Integridade e Disponibilidade.

A seguir estão expostos estes conceitos de maneira breve e posteriormente apresentam-se definições para alguns dos termos mais usados em se tratando de segurança da informação.

A confidencialidade significa, conforme (BRAUMANN, CAVIN e SCHMID, 2011), que nenhum acesso à informação deverá ser garantido a sujeitos ou sistemas não autorizados, isto é, apenas aqueles com os direitos e privilégios necessários serão capazes de acessar a informação, esteja ela armazenada, em processamento ou em trânsito.

 

A violação da confidencialidade pode ocorrer por modo intencional através de ataques, captura de tráfego, engenharia social, entre outros, bem como de forma não deliberada por imperícia ou negligência.

No caso específico do VoIP, a confidencialidade preocupa-se com a não intercepção de uma conversa por uma terceira parte não autorizada, como nos ataques do tipo man-in-the-middle (MITM).

A integridade é o aspecto que se preocupa com a confiança que pode ser depositada sobre uma informação obtida. Além disto, uma informação é dita íntegra se não sofreu nenhuma alteração entre os momentos de transmissão e recepção.

Desta forma, em (BRAUMANN, CAVIN e SCHMID, 2011) são definidas duas categorias de integridade: integridade de fonte e integridade de dados. A integridade de fonte garante que uma informação realmente vem do remetente correto. A integridade dados se refere à confiabilidade da informação em si, isto é se a informação não foi comprometida (manipulada) em algum momento anterior à leitura pelo destinatário pretendido.

Adicionalmente, (STEWART, TITTEL e CHAPPLE, 2008) atribui à integridade três objetivos:

Em se tratando de VoIP, a integridade deve garantir que os pacotes de mídia cheguem ao destinatário sem sofrerem manipulações maliciosas.

A disponibilidade é o aspecto da segurança da informação que diz que esta deve estar disponível para ser acessada quando solicitada por um sujeito ou sistema legítimo (BRAUMANN, CAVIN e SCHMID, 2011). Isto requer que toda estrutura que permite acesso e transporte da informação deve ser protegida para que não seja degradada ou se torne indisponível.

Com relação à disponibilidade, os tipos de ataque que representam maior ameaça são DoS (Denial of Service) e DDoS (Distributed Denial of Service) , que visam danificar ou sobrecarregar sistemas.

Especificamente para o VoIP, disponibilidade significa garantir que o serviço estará operante para os usuários, evitando qualquer efeito adverso resultante de um ataque do tipo negação de serviço, cujas consequências podem ser perda total ou parcial da comunicação (BRAUMANN, CAVIN e SCHMID, 2011).

Nesta sessão definem-se termos importantes mais comumente usados quando se discute sobre segurança da informação. De acordo com (STEWART, TITTEL e CHAPPLE, 2008), tem-se:

A nova Lei traz significativas mudanças nos ambientes empresariais, que agora precisam investir ainda mais em segurança de dados.

A partir de agora, todos os negócios precisarão reforçar a segurança dos dados e promover políticas transparentes sobre o uso, a coleta e o armazenamento deles. 

Na prática, a  LGPD regulamenta uso e tratamento de dados pessoais pela iniciativa privada e pelo poder público, na tentativa de protegê-los contra vazamentos e uso indevido. 

LGPD: o que muda?

Novas formas de organização das informações

Uma das principais práticas que as empresas precisam adotar é uma política de organização dos dados. Em um primeiro momento, é preciso atingir os seguintes objetivos:

E atenção: a LGPD vale tanto para os dados digitais quanto os dados físicos presentes na papelada da empresa.

No dia a dia, a empresa precisa investir em um processo de ordenamento e de gerenciamento de todos esses dados e informações. Portanto, é a hora de descartar tudo o que não for útil para o negócio, gerenciando apenas os dados que a empresa realmente precisa, tornando os processos mais ágeis e produtivos.

Accountability (prestação de contas)

Quando falamos sobre o que muda na prática com a LGPD é imprescindível falar da obrigatoriedade de prestação de contas (accountability). 

A LGPD, na prática, cobra das empresas a comprovação de que está sendo integralmente cumprida pela organização. Todos os agentes que tratam dados pessoais devem cumprir essa obrigação. 

E o que muda com a LGPD neste aspecto? A necessidade de elaborar o chamado Relatório de Impacto de Proteção de Dados. Nesse documento, devem constar o ciclo de vida do tratamento dos dados pessoais e a indicação do fundamento que autoriza este tratamento. 

Por fim, os controladores também devem avaliar as medidas de segurança da informação implementadas. Isso inclui procedimentos para mitigação de eventuais incidentes, com boas práticas de governança, e medidas preventivas.

Boas práticas e governança

O que são as boas práticas e governança para a LGPD? São recomendações previstas na própria lei de proteção de dados sobre a formulação de regras que englobam esses dois aspectos.

De acordo com o artigo 50 da lei LGPD, as regras devem estabelecer “condições de organização, o regime de funcionamento, os procedimentos, incluindo reclamações e petições de titulares, as normas de segurança, os padrões técnicos, as obrigações específicas para os diversos envolvidos no tratamento, as ações educativas, os mecanismos internos de supervisão e de mitigação de riscos e outros aspectos relacionados ao tratamento de dados pessoais”.

Privacy by design

A adoção do privacy by design precisará ser o centro de cada projeto no dia a dia das empresas por conta da LGPD.

A cada novo projeto, é preciso adotar medidas preventivas de proteção dos dados. Prevenção sempre será melhor do que reação, quando falamos em LGPD. Portanto, a empresa precisa revisar suas políticas, implementando um bom programa de governança de TI e conformidade para coibir incidentes de violação de dados e de outros riscos à segurança. Fique atento, também, quanto aos projetos antigos que já estão em andamento e consolidação. 

Na prática, as empresas também precisam adotar ferramentas tecnológicas modernas para otimizar todo esse serviço de proteção de dados, como soluções de Inteligência Artificial, de monitoramento em tempo real, entre outras. 

Nomeação do Encarregado de Dados (DPO)

Outra prática que precisará ser adotada pelas empresas é a nomeação de um Encarregado pelos Dados, também conhecido como DPO (Data Protection Officer). Essa pessoa – que pode ser pessoa física ou jurídica – é a responsável legal pelo gerenciamento dos dados da empresa.

É importante que a empresa identifique o DPO de forma pública (como no site, por exemplo), divulgando informações de contato. 

De acordo com o texto da LGPD, suas atribuições são:

O DPO é também responsável pela implementação de uma cultura de proteção de dados e, por disseminá-la aos colaboradores da empresa. Lembra que acabamos de falar das boas práticas e governança como práticas da nova lei? 

É exatamente isso. A assessoria jurídica criará essa cultura de proteção de dados, facilitando compliance, e contará com o DPO para estabelecer as regras de boas práticas e governança quanto ao tratamento de dados pessoais.

LGPD na prática

A LGPD deve ser algo de consciência de todos os colaboradores da empresa. É imprescindível que todos tenham conhecimento sobre como a organização está realizando as operações de forma que se cumpra a lei.

É uma boa ideia, por exemplo, investir em treinamentos para que os colaboradores entendam sobre como a LGPD se aplica no dia a dia.

Quem tem seus dados pessoais protegidos pela LGPD?

De acordo com o artigo 1º da LGPD, são protegidos pela legislação os dados de pessoas naturais ou pessoas jurídicas de direito público ou privado.

Esses dados podem estar em meios digitais ou físicos, como pastas e arquivos.

Que direito dos titulares dos dados é definido claramente pela Lei Geral de Dados (LGPD)?

Segundo a LGPD, os titulares dos dados têm direito à informação clara e precisa sobre como os seus dados serão utilizados e tratados.

Ao ceder o uso de suas informações para terceiros, as pessoas precisam estar cientes daquilo que será feito com as suas informações.

Quando entra em vigor a Lei Geral de Proteção de Dados?

Após alguns adiamentos, a LGPD entrou oficialmente em vigor em 18/09/2020, sancionada pelo presidente da república. Por conta das consequências da pandemia da Covid-19, foi então acordado que as penalizações passam a ser aplicadas a partir de agosto de 2021. 

A partir dessa data, as organizações que não cumprirem os acordos serão multadas.

Qual direito garante ao titular a atualização dos dados?

A LGPD prevê ainda que o titular de dados tem direito à correção de dados incompletos, inexatos e desatualizados, bem como a remoção imediata dos seus dados da base da empresa.

Uma pessoa que era solteira e casou, por exemplo, pode solicitar que seja feita a correção do estado civil em seu cadastro.

LGPD multa

É importante ainda que você saiba que as multas para quem descumprir a LGPD são bem altas. Elas podem chegar a 2% do faturamento total da organização, com limitação de R$ 50 milhões.

Além disso, o próprio cidadão pode mover processos litigiosos contra as empresas.

Uma das soluções mais básicas de segurança e que deveria fazer parte de todo e qualquer ambiente. As versões mais tradicionais de firewall baseiam suas regras em IPs e portas, e têm papel essencial na proteção do entorno de rede. O firewall permite proteger as informações através do monitoramento e da restrição de IPs maliciosos que estejam tentando se comunicar com a rede ou impedindo que usuários internos tenham acesso a endereços maliciosos na Internet.

Temos visto que ataques de Brute Force contra servidos RDP têm aumentado nos últimos tempos, mas esse tipo de ataque sempre foi muito comum. O Bruce Force, também conhecido como Força Bruta, consiste em tentar adivinhar a senha de um usuário baseado em tentativa e erro. Claro que quanto mais simples for a senha da vítima, mais fácil e rápido será o processo para que os cibercriminosos possam comprometer o ambiente. Uma das formas para barrar esse acesso é adicionar um fator à autenticação, como, por exemplo, uma senha temporária gerada em um app que o usuário tenha. Dessa forma, além da senha do usuário em si, o criminoso precisaria desse token para realmente acessar o ambiente, tornando-o bem mais seguro mesmo em casos de vazamentos de senhas.

Também é possível adotar uma política de uso de senhas complexas e impor uma adequação a todos os usuários, sem exceção. Mesmo não sendo uma camada adicional de proteção e apesar de não evitar o comprometimento de informações em caso de vazamentos, aumentar a complexidade da senha auxilia a atrasar o processo de Brute Force dos criminosos – podendo até tornar o ataque inviável, dependendo do tempo que o criminoso levar para descobrir a senha.

Apesar de atuarem de forma indireta, as soluções de gestão e aplicação de patches são pontos importantes para a saúde de um ambiente e auxiliam na prevenção de acessos ilegítimos. Muitos softwares em suas versões antigas possuem falhas que, se exploradas adequadamente, podem conceder acesso indevidos aos criminosos. Dependendo da forma como essa exploração ocorre, o acesso pode não ser identificado por soluções de segurança como antivírus, fazendo com que o ataque passe desapercebido até que seja tarde demais. Consideramos de suma importância um ambiente sempre atualizado e bem configurado.

Essas soluções são consideradas a evolução tecnológica dos antivírus mais simples. Às vezes são encontradas com o nome de antivírus avançado ou endpoint protection e oferecem diversos recursos de segurança em apenas um produto, trazendo um grande incremento de proteção ao dispositivo. Boa parte dos ataques mais comuns são interrompidos quando se tem esse tipo de solução nos equipamentos; se a solução por si só já interrompe boa parte dos ataques, consequentemente também impedirá que o criminoso tenha acesso a informação que está sendo protegida.

Os Data Loss Prevention, que em tradução livre significa Prevenção contra Vazamento de Dados, como o nome sugere, impedem que os dados mais importantes para a empresa não sejam trafegados sem o devido consentimento. Eles podem impedir que, por exemplo, determinados arquivos sejam enviados para um pendrive ou HD externo, que informações sejam coladas em e-mails, ou que determinados tipos de dados sejam carregados em formulários na Internet. As aplicações desse tipo de ferramenta diminuem drasticamente a chance de exposição dos dados sigilosos de forma intencional ou acidental.

Esse ponto não é exatamente uma tecnologia de segurança, apesar de ser possível contratar revisões de código focadas em segurança, mas é parte importante de um ambiente para empresas que desenvolvem suas próprias aplicações ou compram/contratam aplicações personalizadas para seu ambiente. Aplicar segurança desde o desenvolvimento diminui consideravelmente as chances de problemas com pontos vulneráveis, seja para o armazenamento/tratamento dos dados recebidos, ou para evitar que partes da aplicação sofram com ataques ao buffer.

As siglas representam Web Application Firewall e Database Firewall, que em tradução livre significam Firewall de aplicação Web e Firewall de Banco de Dados, respectivamente. Essas são ferramentas mais avançadas de detecção e conseguem impedir, por exemplo, consultas em larga escala em partes do site onde não deveria haver esse comportamento, tentativa de enumeração de banco de dados, inserção de caracteres em excesso em formulários e diversos outros recursos úteis que podem impedir que suas aplicações se comportem de forma anormal a ponto de um criminoso conseguir extrair dados dela.

Agora lidando com a parte concreta dos dados, o primeiro conceito visa proteger fisicamente o lugar onde as informações sensíveis estão armazenadas, a fim de evitar que sejam comprometidas. A proteção física pode ter muitas abordagens, desde uma porta que impeça que curiosos acessem os computadores principais ou servidores, até proteção perimetral envolvendo câmeras de segurança, catracas, controle biométrico e uma série de outros dispositivos. Todos os recursos empregados têm somente um destino, garantir acesso aos meios físicos somente à pessoas autorizadas.

Como nenhuma das soluções de segurança é a prova de falhas, a proteção física não é exceção. Caso um criminoso consiga ter acesso às mídias físicas que contém os dados sigilosos, elas também devem estar adequadamente protegidas por meio de criptografia, para que mesmo que os criminosos tentem o acesso lógico aos dados, eles sejam impedidos pela necessidade de senha exigida para descriptografá-los.

Nessa parte de criptografia, me referi especificamente a criptografia de HDs, mas também é possível adotá-la em outros momentos, como, por exemplo, na criptografia de informações armazenadas em banco de dados, criptografia de comunicação de um formulário web, utilização de túnel seguro para acesso a determinados serviços e em diversos outros pontos.

A quantidade de recursos ($) empregados para se adequar irá variar bastante, principalmente no que diz respeito ao tamanho da empresa. Uma empresa com 4 funcionários deve focar em instruí-los sobre a LGPD, proteger bem os endpoints, utilizar criptografia, e todos os outros recursos menos custosos e que tragam uma boa robustez ao ambiente. Uma empresa com muitos funcionários, aplicações próprias e contato com diversas outras empresas precisa aplicar tantos recursos quanto possível para que a integridade dos dados se mantenha, sem nunca deixar de instruir os funcionários, é claro!